VMware vCenter Server vSAN Health Check 플러그인 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2021-21985)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTVMware vCenter Server 6.5, 6.7, 7.0 버전에서 기본 활성화된 Virtual SAN Health Check 플러그인
공격자가 443 포트 네트워크 접근만으로 대상 OS에서 최고 권한(root)으로 임의 명령을 실행할 수 있음
즉시 공식 보안 패치를 적용하거나, 패치가 불가능한 경우 vSAN Health Check 플러그인을 비활성화 처리
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
가장 확실한 해결책은 VMware 공식 패치가 적용된 버전으로 vCenter Server를 업그레이드하는 것입니다. vCenter Server Appliance(VCSA) 셸에서 아래 명령어를 통해 패치 버전을 확인하고 업데이트를 수행합니다.
# vCenter Appliance Shell 접속 후 현재 버전 확인
software-packages list --current
# 온라인 리포지토리로부터 최신 패치 스테이징 및 설치
software-packages install --url --acceptEEULA2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 취약한 vSAN Health Check 플러그인을 호환성 가이드에 따라 비활성화해야 합니다. vCenter Server의 구성 파일(compatibility-matrix.xml)을 수정하여 플러그인을 차단합니다.
# vCenter Server Appliance SSH 접속 후 bash 전환
shell
# vSAN Health 플러그인 비활성화를 위해 호환성 매트릭스 파일 백업 및 수정
cp /etc/vmware/vsphere-client/compatibility-matrix.xml /etc/vmware/vsphere-client/compatibility-matrix.xml.bak
# <plugins> 섹션 내에 아래 차단 엔트리 추가
# <plugin id='com.vmware.vrops.installplugin' status='incompatible'/>
# vSphere Client 서비스 재시작
service-control --stop vsphere-ui
service-control --start vsphere-ui3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
vSphere Client 로그 파일에서 외부로부터의 비정상적인 vropsplugin API 호출 흔적을 탐지합니다.
# vSphere UI 로그에서 vropsplugin 관련 POST 요청 및 200 OK 응답 확인
grep -i 'vropsplugin' /var/log/vmware/vsphere-ui/logs/vsphere_client_virgo.log
# 특정 자바 리플렉션 및 비정상 클래스 로딩 흔적 감사
grep -E '(bean|processbuilder|runtime.getruntime)' /var/log/vmware/vsphere-ui/logs/vsphere_client_virgo.log실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요
이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2021-21985)은 VMware vCenter Server의 HTML5 기반 vSphere Client에 기본 탑재된 Virtual SAN(vSAN) Health Check 플러그인의 입력값 검증 부재(CWE-20) 및 안전하지 않은 리플렉션(CWE-470)으로 인해 발생합니다. 공격자는 조작된 HTTP POST 요청을 통해 내부 API 엔드포인트에 접근할 수 있으며, 이 과정에서 적절한 인증 및 입력값 검증 단계를 우회하여 임의의 자바 클래스를 인스턴스화하고 메서드를 호출할 수 있습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 vCenter Server의 HTTPS 포트(TCP 443)에 네트워크 접근이 가능한 상태에서, vSAN Health Check 플러그인의 특정 REST API 엔드포인트(/ui/vropsplugin/api/services/...)로 악의적인 JSON 페이로드를 전송합니다. 이 페이로드는 내부적으로 BeanShell 또는 Spring Expression Language(SpEL) 등과 유사한 리플렉션 메커니즘을 트리거하여, 공격자가 지정한 임의의 OS 명령어를 vCenter Server를 구동하는 기본 운영체제(Photon OS 등) 상에서 root 권한으로 실행하도록 유도합니다.
3. 비즈니스 및 인프라 파급 영향
vCenter Server는 가상화 인프라(ESXi 호스트, 가상 머신, 스토리지 등)를 총괄 제어하는 핵심 컨트롤 플레인입니다. 본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로, 공격 성공 시 가상화 환경 전체에 대한 완전한 제어권을 탈취당할 수 있습니다. 이는 가상 머신의 무단 조작, 데이터 유출, 랜섬웨어 유포 및 비즈니스 연속성의 전면 중단으로 이어질 수 있으며, 실제로 야생에서 활발히 악용된 이력(CISA KEV 등재)이 존재합니다.
공식 보안 권고문 및 참조 링크
The vSphere Client (HTML5) contains a remote code execution vulnerability due to lack of input validation in the Virtual SAN Health Check plug-in which is enabled by default in vCenter Server. A malicious actor with network access to port 443 may exploit this issue to execute commands with unrestricted privileges on the underlying operating system that hosts vCenter Server.
자주 묻는 실무 질문 (FAQ — CVE-2021-21985)
FAQQ1. CVE-2021-21985 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2021-21985의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2021-21985에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 vmware이며, 대상 컴포넌트는 vcenter_server, vsphere_client입니다. 상세 영향 범위: VMware vCenter Server 7.0 (7.0 U2b 미만), 6.7 (6.7 U3n 미만), 6.5 (6.5 U3p 미만)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 즉시 공식 보안 패치를 적용하거나, 패치가 불가능한 경우 vSAN Health Check 플러그인을 비활성화 처리 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2021-21985 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (vmware)
동일 카테고리 전체 보기 →VMware vCenter Server Syslog 서비스 디렉터리 경로 조작 기반 원격 코드 실행 취약점 (CVE-2026-59310)
[영향 대상] VMware vCenter Server의 내장 Syslog 서버 서비스를 사용하는 시스템.
VMware ESX 로그 기록 미흡 취약점 (CVE-2026-41709) - 관리자 행위 은폐 및 감사 우회 위험
[영향 대상] VMware ESX 하이퍼바이저 환경
Arista VeloCloud Orchestrator (VCO) 온프레미스 원격 코드 실행 및 권한 우회 취약점 (CVE-2026-16812)
[영향 대상] 온프레미스(On-Premises) 환경에서 운영되는 VeloCloud Orchestrator (VCO) 전체 버전
VeloCloud Orchestrator(VCO) 온프레미스 권한 상승 및 내부 기능 접근 취약점 (CVE-2026-114625) 보안 권고
[영향 대상] VeloCloud Orchestrator (VCO) 온프레미스(On-premise) 설치형 버전
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.